Execution de sudo, problème de mot de passe

**n8ken** · 17/10/2005, 17h49

Bonjour
je cherche a partir dun compte user d'executer un programme shell
pour cela je fais sudo -u root -S /slapd-stop
il me demande le mot de passe, je le rentre mais il me met que cela n'est pas bon, alors que j'arrive a me connecter en root avec ce meme mot de passe.
Que se passe t'il?

**n8ken** · 18/10/2005, 09h59

Personne n'a une petite idee?

**MarcG** · 18/10/2005, 10h07

ta syntaxe dans le fichier /etc/sudoers (a editer avec la commande visudo) ressemble à quoi.
dans ton exemple :
sudo -u root -S /slapd-stop
je ne comprend pas ?
ne serais pas
sudo -S -u root /slapd-stop ?

**n8ken** · 18/10/2005, 10h34

les deux commandes que tu me donnes font le meme resultat.
Avec un compte user cette commande me demande un mot de passe, je pensais que c'etaiut celui de root mais celui ne fonctionne pas, alors qu'en mode root j'arrive a lancer cette commande sans pb

**_Mac_** · 18/10/2005, 10h36

Avant de pouvoir utiliser sudo, il faut le configurer : le fait qu'il demande le mot de passe est symptomatique de 2 choses :
1. sudo non ou mal configure
2. commande a executer par sudo mal écrite. Typiquement, dans /etc/sudoers, tu as autorise la commande "/usr/local/bin/toto.sh" (chemin complet) et tu appelles sudo en tapant simplement "sudo -u root toto.sh" : sudo connait "/usr/local/bin/toto.sh" et pas "toto.sh".

Fais "sudo -l" pour afficher les commandes que sudo t'autorise a executer.

**n8ken** · 18/10/2005, 10h38

voici le sudoers

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the sudoers man page for the details on how to write a sudoers file.
#
 
# Host alias specification
 
# User alias specification
 
# Cmnd alias specification
 
# Defaults specification
 
# User privilege specification
root	ALL=(ALL) ALL
 
# Uncomment to allow people in group wheel to run all commands
# %wheel	ALL=(ALL)	ALL
 
# Same thing without a password
# %wheel	ALL=(ALL)	NOPASSWD: ALL
 
# Samples
# %users  ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users  localhost=/sbin/shutdown -h now

**n8ken** · 18/10/2005, 10h41

Voila ce que cela me met :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
sudo -l
User root may run the following commands on this host:
    (ALL) ALL

Je précise que en root je lance la commande, c'est lorque je suis user simple et je veux le faire par root (demande de mot de passe) que je n'y arrive pas.

**getupa** · 18/10/2005, 10h46

Juste une précision, C'est le mot de passe de ton user que sudo attend ! Pas le mot de passe root !

Il faut en plus que ton user est été défini dans le fichier /etc/sudoers !!

Sinon du peux toujours utiliser su root -c "tacommande" pour la lancer (cette fois c'est le mot de passe root qu'il faut mettre) !!!

**_Mac_** · 18/10/2005, 10h48

Sudo n'est pas configuré : il faut que tu dises quelles commandes quel utilisateur peut exécuter et avec quels contrôles de sécurité. Pour une config exécuter une commande en tant que root sans demander de mot de passe, edite le fichier /etc/sudoers en root et ajoute ca :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

user_simple ALL = (root)   NOPASSWD: /usr/local/bin/toto.sh

fais un man sudoers pour avec des infos sur la syntaxe de ce fichier.

Par défaut, sudo autorise toutes les commandes que root veut exécuter. C'est le sens de la ligne "root ALL=(ALL) ALL".

**n8ken** · 18/10/2005, 11h09

J'ai mis ca est ce que c'est bon?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

%users  ALL=(root)   NOPASSWD: /usr/sun/directoryServer/stop-slapd

**MarcG** · 18/10/2005, 11h32

tout depend de ce que tu veu faire :
la tout les user du group users depuis toute machine peuvent prendre le root pour executer la comménde que tu site.
a condition que la commande sudo contienne l'exacte comande soit :
/usr/sun/directoryServer/stop-slapd

**n8ken** · 18/10/2005, 11h38

Cela ne fonctionne pas
En user simple je n'arrive pas a executer cette commande sans qu'il me demande un pwd.
La commande stop-slapd se trouve bien a cette endroit

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
 
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the sudoers man page for the details on how to write a sudoers file.
#
 
# Host alias specification
 
# User alias specification
 
# Cmnd alias specification
 
# Defaults specification
 
# User privilege specification
root	ALL=(ALL) ALL
 
# Uncomment to allow people in group wheel to run all commands
# %wheel	ALL=(ALL)	ALL
 
# Same thing without a password
# %wheel	ALL=(ALL)	NOPASSWD: ALL
%users	ALL=(root)	NOPASSWD:	/usr/sun/directoryServer//stop-slapd
 
# Samples
# %users  ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users  localhost=/sbin/shutdown -h now

**_Mac_** · 18/10/2005, 12h16

Que raconte sudo ? Toujours la même erreur ou ça a changé ?

Le double / est volontaire ? Un fois de plus, si dans sudo, tu mets "/usr/sun/directoryServer//stop-slapd", il faut appeler sudo avec "/usr/sun/directoryServer//stop-slapd".

Question idiote : ton utilisateur est bien membre du groupe users ?

**n8ken** · 18/10/2005, 14h04

En fait le // est une erreur de ma part
Par contre ce que je veux faire en fait c'est autoriser une JSP (serveur web webservd) à executer un shell.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

www	webservd=NOPASSWD:	/usr/sun/stop-slapd

Donc je dois faire un sudo pour webservd et pour le prog /stop-slapd
comment dois je faire pour mettre cela dans sudoers?

j'ai fait ca mais sans succes:
quand je fais sudo -u www /.../stop-slapd
j'ai sudo: no passwd entry for www
...

**_Mac_** · 18/10/2005, 14h24

le -u de sudo te sert à désigner l'utilisateur cible. Pour exécuter ce que tu veux, tu te connectes avec l'utilisateur www, et tu fais sudo -u root /usr/sun/stop-slapd.

Sinon, a vu de nez, ta conf me semble incorrecte : tu ne dis pas en tant que quel utilisateur www peut exécuter la commande stop-slapd.

**n8ken** · 18/10/2005, 14h39

Ta remarque sur la commande sudo -u root ... quand je suis en webservd ne fonctionne pas car j'ai la demande d'un pwd.

j'ai mon user (serveur web) qui est webservd
je voudrais le configurer dans sudo pour qu'il execute /.../stop-slapd sans password, comment je fais ?

**n8ken** · 18/10/2005, 14h53

J'avance mais je reviens un peu au debut,

Voici mon sudoers :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
# User alias specification
User_Alias	WWW=webservd
# Cmnd alias specification
Cmnd_Alias LDAP=/usr/sun/stop-slapd, /usr/sun/start-slapd, /usr/sun/bak2db
WWW	ALL=(ALL)	NOPASSWD:	LDAP

je fais un sudo -u webservd /.../stop-slapd

et j'ai un message d'erreur :
No ns-slapd PID file found.

Cela vient de la commande stop-slapd (donc j'arrive a executer) il n'arrive pas faire un cat d'un fichier...
Dois je mettre d'autre commande dans le sudoers?

**_Mac_** · 18/10/2005, 14h59

L'erreur que tu as maintenant ne vient pas forcément directement de sudo : où se trouve le fichier ns-slapd ? Il faut savoir que sudo, lorsqu'il execute une commande, ne va pas "sourcer" le .profile de l'utilisateur cible. Du coup, tu te retrouve peut-être avec un environnement incomplet (i.e. il manque des variables d'environnement).

Pour bien faire, essaie d'écrire un script shell qui :
1. Source le fichier .profile (. $HOME/.profile) ou complète le PATH
2. Appelle start-slapd

Ensuite, corrige sudo pour que ton alias LDAP pointe vers ce nouveau script plutot que start-slapd.

**n8ken** · 18/10/2005, 15h03

c'est bon j'ai reussi

Voici mon sudoers pour ceux que ca interesse:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the sudoers man page for the details on how to write a sudoers file.
#
 
# Host alias specification
 
# User alias specification
User_Alias	WWW=webservd
# Cmnd alias specification
Cmnd_Alias LDAP=/usr/sun/stop-slapd, /usr/sun/start-slapd, /usr/sun//bak2db
 
# Defaults specification
 
# User privilege specification
root	ALL=(ALL) ALL
 
# Uncomment to allow people in group wheel to run all commands
# %wheel	ALL=(ALL)	ALL
 
# Same thing without a password
# %wheel	ALL=(ALL)	NOPASSWD: ALL
WWW	ALL=(ALL)	NOPASSWD:	LDAP
# Samples
# %users  ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users  localhost=/sbin/shutdown -h now